子网掩码从入门到实战：网络号、广播地址与CIDR计算详解

1. 为什么每个运维和网络初学者都被子网掩码卡住

提起子网掩码（Netmask），很多人第一反应是"我知道它跟IP地址是一对的"，但再追问一句"它到底是干什么用的"，十个人里可能有六七个开始含糊。面试桌上，桌面运维岗最常考的几道题里，子网掩码绝对占一席；实际工作中，配置静态IP时把掩码填错导致网段不通的案例，我见过的次数两只手数不过来。

子网掩码的价值其实用一句话就能说透：它是一把尺子，量出一个IP地址里哪些位属于网络、哪些位属于主机。网络位决定了你所在的"街区"，主机位决定了你是这个街区里的"门牌号"。没有这把尺子，光给一个IP地址，你根本不知道它属于哪个网段，也没法判断网络通信时数据包是该直连送达还是交给网关转发。

这篇文章不端着教科书腔调，我尽量用大家熟悉的场景、能直接照做的计算方法和踩过的坑，把子网掩码讲透。适合谁看？刚接触网络的小白、做桌面运维想补基础的朋友，以及所有在配IP、排网络故障时遇到过"明明地址没错但就是不通"的人。看完你至少能解决三类实际问题：快速判断两个IP是否同网段、根据主机数量倒推掩码怎么填、看懂别人写的"192.168.1.0/24"到底是什么意思。

不少读者私信问过我：子网掩码取反是干什么用的？为什么有时候要拿它跟IP做运算？这些我都会在后面结合具体场景展开，保证你学完之后能直接拿去用。

2. 从"街区加门牌号"开始理解IP地址的结构

2.1 IP地址为何非要区分两个部分

IPv4地址一共32位二进制数，平时写成四个十进制段，比如192.168.1.10。为了方便管理，这32位被分成两部分：网络位和主机位。网络位标识你所在的物理或逻辑网络，主机位标识这个网络里的某一台设备。

想象一个小区：网络位就是小区名，主机位就是楼栋和房间号。两户人家如果小区名不一样，哪怕房间号一样也不是邻居；同一个小区里房间号重复就会冲突。对应到网络里，两台设备的IP如果网络位不一样，说明它们不在同一个二层广播域内，通信必须经过路由器（网关）。如果网络位相同而主机位相同，那就是IP冲突，这俩设备抢一个门牌号，谁都用不好。

这个时候子网掩码出场了。它能明确告诉你：这32位里面，前多少位算小区名，后多少位算房间号。

2.2 默认掩码：A/B/C类地址的固定套路

早期互联网把IP地址按首位分类，形成了所谓的有类编址。规则不复杂，记住三张常用表就够：

以C类地址192.168.1.10为例，默认掩码255.255.255.0，表示前三段共24位是网络位，最后一段8位是主机位。这个网段里能用的地址范围是192.168.1.1到192.168.1.254，其中.0是网络号，.255是广播地址，这两个不能配给设备。

很多初学者在这种默认情况下面不会出乱子，因为掩码是固定的。真正让人发晕的是后面这两个场景：一是遇到非默认掩码时要自己算网络位；二是通过子网掩码判断两个IP能否直接通信。这两件事是桌面运维的日常，也是笔试面试的高频考点。

3. 子网掩码的底层原理：用二进制看网络位边界

3.1 我为什么一直强调"把掩码当二进制看"

你看着255.255.255.0这个十进制数，可能觉得它只是个数字。但子网掩码的本质是一串连续为1的二进制位：11111111.11111111.11111111.00000000，其中值为1的位对应IP地址的网络位，值为0的位对应主机位。

为什么掩码必须是一串连续的1再加一串连续的0？因为它要保证网络部分在二进制上是连续的一段，路由器在查找路由表时按位进行匹配，不需要跳跃判断，处理效率最高。非连续的掩码虽然从数学上行得通，但标准实现里不推荐也不会用。

拿192.168.1.10/24来说，把IP和掩码都写成32位二进制：

IP: 11000000.10101000.00000001.00001010 掩码: 11111111.11111111.11111111.00000000

掩码里前24位是1，所以IP的前24位11000000.10101000.00000001属于网络位。网络号怎么算？把IP和掩码做按位与运算，意思是：只有当对应位都是1时结果才为1，否则为0。这就是判断网络号的标准算法，所有人都在用，只不过很多人只背了结论没走一遍过程。

3.2 AND运算的完整走一遍流程

继续拿192.168.1.10做例子，我带你完整算一次：

第一步，把IP和掩码的二进制逐位对齐。

第二步，逐位做AND运算。前24位因为掩码都是1，所以"与"完之后的结果就是IP原来的前24位，原样保留。最后8位掩码全是0，不管IP这位是0还是1，"与"完都是0。

第三步，把结果还原成十进制：11000000.10101000.00000001.00000000，也就是192.168.1.0。这就是该IP所在网络的网络号。

到这里你应该能看出来：子网掩码不是"参与通信"的地址，它是拿来跟IP做运算、确定网络边界的工具。网络号用于路由表匹配和判断归属，广播地址是主机位全为1的那个地址，用于二层广播。

3.3 为什么说"/24"才是更常用的野路子表达

实际工作里大家很少念"255.255.255.0"这一大串，而是直接说"斜杠24"。这就是CIDR（无类域间路由）表示法，斜杠后面的数字就是掩码里1的个数。比如：

• 255.255.255.0 = /24
• 255.255.255.128 = /25
• 255.255.255.192 = /26
• 255.255.0.0 = /16
• 255.255.255.252 = /30

这一串数字的规律就是：从255往右逐个减半。128是10000000，192是11000000，224是11100000，240是11110000，248是11111000，252是11111100。很多教程让你死记硬背这组数，我更推荐你把它换算成二进制看一眼，看一次就忘不掉了。

4. 子网掩码取反的作用：从网络号算出广播地址

4.1 取反在实操中的真正用途

热搜词里有一个很典型的问题："子网掩码取反怎么取？"我平时在答疑时也经常遇到。很多人不知道为什么要把掩码取反，实际上取反操作最常见的两个用途：一是求广播地址，二是做通配符匹配。

先看取反的二进制做法。掩码取反就是把1变0、0变1。比如/24的掩码是11111111.11111111.11111111.00000000，取反之后是00000000.00000000.00000000.11111111，写成十进制就是0.0.0.255。

求广播地址的公式是：广播地址 = 网络号 + 取反后的掩码。这里的"加"不是简简单单的十进制相加，而是主机位全部置1。举个例子，网络号192.168.1.0，掩码取反是0.0.0.255，两者相加得到192.168.1.255，这就是广播地址。

再配一个我实操中常用的快速口诀：广播地址就是把该网段的主机位全部换成1。比如下面前三个字节是网络位，那广播地址最后一段就是255；如果掩码是/26，说明最后6位是主机位，把主机位全填1，算出来的广播地址是192.168.1.63。

4.2 通配符掩码：取反思想的另一种体现

熟悉思科设备的人肯定知道ACL（访问控制列表），它的通配符掩码（wildcard mask）原理跟子网掩码取反一模一样。不过作用反过来：子网掩码里1代表必须匹配的位置，通配符里0代表必须匹配，1代表无需匹配。

最常用的通配符就是0.0.0.255，等价于匹配某个C类网段里的所有主机。网上有些朋友把它和子网掩码255.255.255.0搞混过，实际上你只要记住"通配符=子网掩码取反"，就不会再懵。运维排查网络策略时遇到"为什么这条ACL没生效"的怪问题，八成就是有人把通配符按掩码写了。

4.3 手算广播地址的坑

求广播地址的时候最容易犯的错是拿十进制直接加。比如有人知道掩码取反是0.0.0.255，就把192.168.1.0和0.0.0.255相加，觉得应该是192.168.2.255，这个完全是错的。正确的理解是拿二进制主机位去补：网络位不动，主机位填满1。

更隐蔽的坑出现在借位网段里。比如192.168.1.64/26，网络号是192.168.1.64，最后6位是主机位。取反之后掩码是0.0.0.63，广播地址是192.168.1.127，而不是192.168.1.64加63等于127，这个恰好是对的。但如果盲算192.168.1.64 + 0.0.0.63，有的朋友会得到192.168.1.127没问题，换个网段再算就露馅了。比如192.168.1.128/26，广播地址是192.168.1.191，用十进制相加即128+63=191也成立。这里碰巧十进制相加也成立，是因为主机位全部在第四段；如果网络边界跨越了第三段，比如10.10.100.15/22这种，光拿十进制硬加就会算错，必须回归二进制理解。

5. 从主机数量倒推子网掩码：别再死记表格了

5.1 一个公式解决90%的实际问题

公司办公网300台设备，你打算规划一个局域网，用多大的子网合适？很多人拿着网上找的计算表翻半天，其实公式特别简单：

可用主机数 = 2的主机位数次方 - 2

减2是因为网络号和广播地址不能分配给设备。反推掩码的步骤是：

• 第一步，算主机位。300台设备，2的8次方是256，不够；2的9次方是512，够用。说明主机位至少需要9位。
• 第二步，算网络位。32位总长度减去9位主机位，网络位就是23位，对应掩码是255.255.254.0，写成CIDR是/23。
• 第三步，验证。/23可用的地址数是2的9次方减2，等于510个，满足300台设备的需求，还留了约200个富裕量方便以后扩容。

这张表我建议你自己动手推一遍，比背十遍都管用：

实际做桌面运维时会发现，很多网络管理员给自己留了很大的网段，比如只有100人的办公室却用/16掩码，这没什么不对，只是广播域会很大，网络里的广播报文会多一些。小规模办公无所谓，但如果是IDC机房或者大型局域网，这种规划方式会增加网络负担，这时候按需计算掩码就非常有必要了。

5.2 用可用主机数快速判断该配什么掩码

日常配置静态IP时，最常遇到的场景是：路由器或防火墙提示"网段和掩码不匹配"，或者网管告诉你"把掩码改成255.255.255.252"，你一脸茫然。这时候掌握快速判断很有用。

拿255.255.255.252来说，它的二进制是11111111.11111111.11111111.11111100，主机位只有2位，可用主机数是2，常常用于两个路由器之间的点对点链路。如果你在路由器相连的接口上配了192.168.1.1和192.168.1.2，掩码用255.255.255.252就对了。我曾经见过有人在两个路由器之间配了255.255.255.0，结果两台设备能互相通信，但广播也发得整个网段都是，排查了半天才意识到掩码太宽。

判断方法我总结为一句：先把需求的主机数量转换为主机位数，再用32去减，得到网络位长度。不用去记什么A类B类C类的边界，直接用这个公式计算，简单又不容易错。

5.3 划分子网时的边界陷阱

需要把一个大网段切成多个小网段时，又要重复使用上面这些计算。比如公司有一个/24网段192.168.1.0/24，想把它分成4个能容纳50台设备的子网，怎么做？

• 需要4个子网，意味着需要借2位作为子网位，因为2的2次方等于4。
• 原先是/24，借2位后变成/26，也就是255.255.255.192。
• /26有4个子网：192.168.1.0/26、192.168.1.64/26、192.168.1.128/26、192.168.1.192/26。
• 每个子网的可用主机数是62，满足50台的需求。

这4个子网的网络号不是随便取的，每个子网的步长=256-192=64，这是由最后一个非零掩码段决定的。很多人在这一步踩坑：0、64、128、192这四个起始号好记，但如果借3位变成/27，步长就变成32，起始号是0、32、64、96、128、160、192、224，排列是有规律可循的，掌握步长比背列表可靠得多。

6. 桌面运维里最常见的掩码错误和排查思路

6.1 类型一：掩码与IP不配套，网络号对不上

机房里有台服务器死活Ping不通网关。我登录上去一看，IP是192.168.1.66，掩码却填成255.255.255.0。光看IP，192.168.1.66在这个/24网段里没问题；但管理员的本意可能是让这台服务器跟192.168.1.64/26那边的设备通信，结果掩码配错，系统以为自己在192.168.1.0/24这个大网段里，路由判断就全乱了。

排查这类问题时，我先在问题机器上用ipconfig或ip addr看掩码，然后就地把IP和掩码换算成二进制做AND运算，算出来的网络号跟网关的网络号对比。不一致就直接改成一致再试。这招十有八九能解决"IP看着没问题但就是不通"的怪事。

6.2 类型二：跨网段通信时掩码写太宽

还有一次，一个分支机构的打印机无法访问总部服务器。配置的人图省事，把打印机掩码改成255.0.0.0，以为这样"什么都能通"。结果确实能通，但广播域跟着变大，网络上到处都是广播报文，打印任务丢包严重。

跨网段通信的正确做法是设置正确的网关地址。掩码越界只是绕过网关的一种暴力方式，适合临时测试，不能进生产环境。遇到这种问题，我会先拓扑图上确认设备在哪个网段，再检查掩码是否只覆盖本网段，最后查网关配置。

6.3 类型三：点对点链路掩码设置过宽

两个路由器直连，接口地址分别为10.0.0.1和10.0.0.2，很多人直接配/24掩码。实际上点对点链路只用得了两个地址，配/30就够了。虽然两个IP照常能通信，但/24会让这条链路接入一个254台主机的大网段，如果另一个路由器在这个网段里还能连到其他主机，路由环路或错误路由的风险就大了。规范做法是使用/30，甚至在一些回环场景下用/32。

6.4 排查掩码问题的通用四步法

第一步，确认问题设备的IP、掩码、网关三件套有没有遗漏或冲突。第二步，把IP和掩码做AND运算，得出网络号，跟网关所在网络号对比。第三步，用ping测网关，通不通；再ping同网段其他设备，判断是二层还是三层问题。第四步，跨网段不通时，逐跳tracert或traceroute，定位在哪一跳断掉，再回头翻那一跳设备的掩码配置。

这套思路可以应对绝大部分日常网络故障。很多时候问题不是网络坏了，而是掩码定义错了"边界"，设备按照你给的错误边界去理解整个网络，自然怎么排查都一头雾水。

7. 一个快速掌握子网掩码的实操练习清单

与其看一堆理论，不如拿出一台电脑或者路由器模拟器，按下面的清单走一遍，很快就能形成手感。

练习一：写出192.168.5.30/27的网络号和广播地址。步骤是：/27说明主机位5位，最后一段掩码是11100000，对应十进制224。256减224得32，所以子网起始步长是32。192.168.5.30落在192.168.5.0到192.168.5.31这个区间里，网络号就是192.168.5.0，广播地址是192.168.5.31。

练习二：一个网段要用16个地址给打印机用，但要求地址范围最小，选什么掩码？16台打印机加网络号和广播地址，至少需要18个地址，2的5次方是32，主机位5位，网络位就是27位，掩码255.255.255.224。

练习三：把10.0.0.0/24划分成8个子网，写下每个子网的网络号和可用地址范围。8个子网需要借3位，新掩码/27，子网步长32，依次得到10.0.0.0/27、10.0.0.32/27、10.0.0.64/27等8个子网。

这些练习看起来简单，但每次面试笔试前过一遍，基本都能稳稳handle住子网掩码相关的题。机房配IP的时候顺手心算一下掩码，而不是每次打开在线计算器，长期下来会快很多。

我还习惯备一个快速对照表贴在工位上，包含常用掩码、CIDR、可用主机数三项。但注意，对照表只是辅助，理解二进制规律才是根本，否则遇到/23、/13这种不常见的掩码，光靠查表还是容易出错。

8. 把子网掩码真正用起来的几个心得

最后分享一些实实在在的经验，算是我多年桌面运维和网络管理攒下来的体会。

第一，配置任何设备之前先明确网络规划。哪怕只是给办公室装一台无线路由器，我习惯先问一句：这个网段用什么掩码？网关是多少？地址池从哪开始到哪结束？很多人配完以后发现设备之间互相不通，往往就是没做这一步就随手填了255.255.255.0。

第二，别怕用二进制去算。真正高手不是靠背所有表格，而是拿到一个IP加掩码，能在纸上几秒钟算出网络号和广播地址。只要掌握了AND运算和主机位全1就是广播这个原则，任何网段都能算。用多了自然熟，比查任何计算器都靠谱。

第三，排查网络问题先从掩码查起。我自己踩过太多次坑：有时候业务连不上数据库，查了半天的网线、防火墙、路由协议，最后发现是有人把掩码从255.255.255.0改成了255.255.255.128，两边网络号一错位，数据包全去了网关又丢了回来。现在但凡遇到"为什么PC获取到了IP但上不了网"这类问题，我第一个动作就是看掩码和网关是否配套，十次里能少走一半弯路。

第四，用在线工具验证但不依赖。我在教新人时随手用在线子网计算器验证计算结果，自己平时也会用，但要求他们先手算一遍再核对。这习惯看着多余，等你在没有外网、没有图形界面的服务器上排查问题时，能手算就省事多了。

子网掩码这东西，在整张网络知识图谱里排在第一层。它的规则并不复杂，但因为涉及的十进制和二进制的切换，劝退了不少人。希望这篇文章能帮你把这个关卡顺利翻过去。如果你在实践中遇到跟掩码相关的奇怪问题，欢迎带着具体配置来讨论，网段计算这种东西，聊一遍比看十遍都管用。